iptables過濾表性能問題

springtty

我在FORWARD鏈上配置100條簡單規(guī)則（源IP，目的IP，源端口，目的端口），以每秒1000pps速度發(fā)包，F(xiàn)ORWARD鏈上接收速率為800多pps；
如果配置1000條、10000條簡單規(guī)則，接收速率就相當?shù)土�，不超過兩位數(shù)。
不知道性能為什么這么低，我自己寫的過濾程序，也是使用簡單的規(guī)則，在10000條規(guī)則集下可以達到8000pps的接收速率，不明白iptables的性能瓶頸出在哪里，還是我用的方式不對，各位大俠能否指教一二？
機子的配置是老賽揚2.0G 512M內(nèi)存，10/100M網(wǎng)卡。

====================================
是我查看失誤。
最后應用附件中的規(guī)則集，接收率在2000pps~4000pps之間。

[ 本帖最后由 springtty 于 2009-4-10 23:32 編輯 ]

kns1024wh

請將規(guī)則發(fā)上來分析語法問題

springtty

原帖由 kns1024wh 于 2009-4-6 21:28 發(fā)表
請將規(guī)則發(fā)上來分析語法問題

剛剛增加了附件，也發(fā)你郵箱一份。
看看我這樣配置是不是有問題，我這個腳本從配置文件讀規(guī)則，然后一條一條的提交，提交的過程也很慢，這個可以理解。
但是我想iptables/Netfilter用的是線性匹配，速率不應該相差這么大，我聽說iptables在10000條規(guī)則情況下，應該在2500~3000pps之間。

springtty

數(shù)據(jù)包應該都是正確的，目的地址都能被路由。
當我把FORWARD規(guī)則清空時，速率就正常了。
對了，我是使用iptables -L -n -v 顯示的。

kns1024wh

是否可以使用子網(wǎng)的方式進行匹配呢

springtty

原帖由 kns1024wh 于 2009-4-6 22:05 發(fā)表
是否可以使用子網(wǎng)的方式進行匹配呢

源IP是通過子網(wǎng)方式匹配的，其實iptables/Netfilter匹配時，都是使用smask&sip == rules.sip & rules.smask 這種比較方式吧，即都與掩碼相與，然后看是否相等

kevin.tan

原帖由 springtty 于 2009-4-6 22:22 發(fā)表

源IP是通過子網(wǎng)方式匹配的，其實iptables/Netfilter匹配時，都是使用smask&sip == rules.sip & rules.smask 這種比較方式吧，即都與掩碼相與，然后看是否相等

規(guī)則寫得太沒效率了，

1.新建兩個鏈，分別為udp和tcp
2.在你做過濾的端口，filter 表的input鏈中將tcp和udp分別轉(zhuǎn)向至上面新建的兩個鏈，
3.分別在新建的鏈中應用規(guī)則，比喻你的UDP1000,使用iprange,你的那1000條規(guī)則完全可以寫成50個，目地地址分別是1-20的主機寫在一個range中

springtty

原帖由 kevin.tan 于 2009-4-7 12:34 發(fā)表



規(guī)則寫得太沒效率了，

1.新建兩個鏈，分別為udp和tcp
2.在你做過濾的端口，filter 表的input鏈中將tcp和udp分別轉(zhuǎn)向至上面新建的兩個鏈，
3.分別在新建的鏈中應用規(guī)則，比喻你的UDP1000,使用iprange ...

謝謝各位的建議哈，這幾個規(guī)則集是用程序生成的，我只是測試iptalbes線性匹配的性能，這并不是真正的應用。
目前我寫了一個算法，做到了在10000條這種BT規(guī)則集下達70000pps的接收速率，等我寫完論文答辯通過了，我會把論文給大家分享。

kevin.tan

原帖由 springtty 于 2009-4-7 14:20 發(fā)表

謝謝各位的建議哈，這幾個規(guī)則集是用程序生成的，我只是測試iptalbes線性匹配的性能，這并不是真正的應用。
目前我寫了一個算法，做到了在10000條這種BT規(guī)則集下達70000pps的接收速率，等我寫完論文答辯通過 ...

哇，恭喜樓主，原來是牛人，獻丑了，不要介意， 期待分享你的成果

ps 對于規(guī)則超過一定數(shù)目下的netfilter，可以看看這個項目http://www.hipac.org/

springtty

原帖由 kevin.tan 于 2009-4-7 17:25 發(fā)表


哇，恭喜樓主，原來是牛人，獻丑了，不要介意， 期待分享你的成果

ps 對于規(guī)則超過一定數(shù)目下的netfilter，可以看看這個項目http://www.hipac.org/

我不是牛人哈。剛剛看了hipac，做得挺好的，可以和iptables兼容，我這個比較學術(shù)化，離實用還有一段距離